Glossaire
Cliché instantané de volume (VSS)
Un service Windows qui crée des instantanés ponctuels d'un volume, permettant de récupérer d'anciens états de fichiers et du registre.
Le service de cliché instantané de volume (VSS) crée des instantanés ponctuels d'un volume NTFS pendant que le système continue de fonctionner. Chaque instantané capture l'état du volume à l'instant où il est pris, et Windows ne conserve ensuite que les blocs modifiés, si bien que les anciennes versions des fichiers restent accessibles.
En forensique, les clichés instantanés sont précieux. Un fichier supprimé ou modifié par un attaquant peut subsister intact dans un instantané antérieur, et l'on peut comparer ruches du registre ou journaux d'un instantané à l'autre pour observer l'évolution d'un système. Les points de restauration et la fonction « Versions précédentes » reposent tous deux sur VSS.
La commande vssadmin list shadows énumère les instantanés existants, et des outils peuvent les monter pour exposer leur contenu comme un système de fichiers distinct. Comme les instantanés sont antérieurs à une intrusion, ils peuvent contenir des preuves que le volume actif n'affiche plus.